1. 为什么我们需要高可用性网络从一次“断网”说起几年前我在一家公司负责网络运维经历过一次让我至今记忆犹新的“小事故”。那是一个普通的周二下午核心机房里一台负责整层楼网络接入的交换机毫无征兆地“罢工”了。瞬间半个办公区的电脑网络图标变成了小叉电话铃声此起彼伏。虽然我们紧急启用了备用设备但业务中断的半小时已经让市场部和客服部的同事焦头烂额。老板事后问我“我们的网络不是有两条线吗怎么还会全断” 这个问题恰恰点出了传统网络设计的软肋——单一的设备节点。那次教训之后我深刻理解到对于现代企业网络就像水和电必须保证7x24小时不间断。这不仅仅是多拉一根网线那么简单而是需要在网络架构的每一层都设计冗余和备份机制确保任何单点故障都不会导致业务中断。这就是高可用性High Availability网络的核心思想。简单来说高可用性网络的目标是让用户和上层应用完全感知不到底层设备的故障切换实现“永不掉线”的体验。但对于很多刚接触网络的朋友或者正在备考认证的学员来说高可用性的概念听起来很美好实践起来却有些无从下手。你不可能为了学习就去买两台昂贵的企业级交换机来搭建实验环境。这时候华为eNSPEnterprise Network Simulation Platform模拟器就成了我们的“神器”。它完美复现了真实设备的操作系统和命令行让我们能在自己的电脑上零成本构建出复杂的企业级网络拓扑亲手配置那些听起来高大上的冗余协议。今天我就带你一起在eNSP里亲手搭建一个经典的交换机高可用性网络。我们会用到三个关键技术MSTP多生成树协议解决二层环路和链路备份VRRP虚拟路由器冗余协议实现网关的“永不宕机”再结合DHCP让终端自动获取IP。我会把每一步的原理、配置和背后的“小心思”都掰开揉碎讲清楚哪怕你是网络新手跟着做下来也能彻底掌握这套保障业务连续性的“组合拳”。2. 实验蓝图看懂拓扑理解每台设备的“戏份”动手敲命令之前我们必须先当好“建筑师”把整个网络的蓝图规划清楚。盲目配置是学习网络的大忌。我根据常见的园区网设计画了下面这个拓扑图你可以在eNSP里照着搭建[ISP] (模拟外网IP: 12.0.0.2/24, Lo0: 2.2.2.2/24) | | 12.0.0.0/24 | [R1] (边界路由器内网出口) / \ / \ G0/0/1:172.16.0.130/26 G0/0/2:172.16.0.194/26 / \ / \ [LSW1]---(Eth-Trunk)---[LSW2] (核心/网关交换机) | (主备网关) | (主备网关) | Vlanif10: .129/26 | Vlanif20: .193/26 | Vlanif2: .1/26 (VRRP Master for VLAN2) | Vlanif2: .2/26 (VRRP Backup for VLAN2) | Vlanif3: .65/26 (VRRP Backup for VLAN3)| Vlanif3: .66/26 (VRRP Master for VLAN3) | | | | | | | | | G0/0/4 (Trunk) | G0/0/4 (Trunk) | | | | | | | | [LSW3]---------------[LSW4] (接入层交换机) | | | | | G0/0/3 G0/0/4 | G0/0/3 G0/0/4 | (Access (Access | (Access (Access | VLAN2) VLAN3) | VLAN2) VLAN3) | | | | | | [PC1] [PC3] [PC2] [PC4] (所有PC通过DHCP获取IP)各设备角色与规划解读ISP路由器它模拟互联网服务提供商我们就当它是“外面的世界”。它有一个连接R1的接口和一个环回口Loopback0用来模拟一个公网地址比如2.2.2.2我们最终的目标就是让内网的PC能ping通这个地址。R1路由器它是我们内网的边界负责连接内部网络和外部互联网。它有两个关键任务一是运行动态路由协议我们选用OSPF把内网路由传递出去二是做NAT地址转换把内网的私网IP转换成公网IP去访问互联网。LSW1 LSW2核心交换机这是本次实验的绝对主角承担着网关和核心交换的重任。它们之间通过Eth-Trunk链路聚合连接这不仅增加了带宽更关键的是提供了链路级冗余。它们为不同的VLAN创建虚拟网关接口Vlanif并运行VRRP协议互为备份。例如对于VLAN 2LSW1是主网关MasterLSW2是备网关Backup对于VLAN 3则反过来。这样任何一台核心交换机故障另一台都能在毫秒级内接管网关业务用户毫无感知。它们也作为DHCP服务器为各自管辖的VLAN分配IP地址。LSW3 LSW4接入层交换机它们直接连接用户电脑PC。端口配置为Access模式分别划入VLAN 2和VLAN 3实现基础的业务隔离。它们上连核心交换机的端口配置为Trunk模式允许多个VLAN的数据通过。PC1-PC4模拟企业内的终端用户我们将它们配置为自动获取IPDHCP完全模拟真实办公环境。IP地址规划表务必理清这是一个非常关键的准备步骤清晰的规划能避免配置时IP冲突的混乱。设备接口VLANIP地址/掩码说明LSW1Vlanif 22172.16.0.1/26VLAN 2的真实网关VRRP优先级高Vlanif 33172.16.0.65/26VLAN 3的真实网关VRRP优先级低Vlanif 1010172.16.0.129/26与R1互联的接口LSW2Vlanif 22172.16.0.2/26VLAN 2的真实网关VRRP优先级低Vlanif 33172.16.0.66/26VLAN 3的真实网关VRRP优先级高Vlanif 2020172.16.0.193/26与R1互联的接口R1G0/0/1N/A172.16.0.130/26连接LSW1 (Vlanif10)G0/0/2N/A172.16.0.194/26连接LSW2 (Vlanif20)G0/0/0N/A12.0.0.1/24连接外网(ISP)ISPG0/0/0N/A12.0.0.2/24连接R1Loopback0N/A2.2.2.2/24模拟公网服务器VRRP虚拟IPVlanif22172.16.0.62/26终端PC的实际网关地址Vlanif33172.16.0.126/26终端PC的实际网关地址DHCP地址池VLAN 22172.16.0.0/26可用地址范围.1-.62VLAN 33172.16.0.64/26可用地址范围.65-.126好了蓝图和地址表都在这里了。接下来我们就打开eNSP从零开始一步步把这张图变成可运行的、高可用的网络。3. 第一步基础搭建与链路配置万事开头难但基础打牢了后面的复杂配置才能顺畅。我们先完成设备的基本“装修”改个名、划分下VLAN、把网线“插”对位置。3.1 设备初始化与基础IP配置首先把设备拖进拓扑连线注意接口号尽量和规划图一致然后启动设备。等设备启动完成我们逐台进行配置。LSW1 配置这里我强烈建议你为每台设备设置一个容易辨识的名称并关闭烦人的日志提示让界面更清爽。Huaweisystem-view [Huawei]sysname LSW1 [LSW1]undo info-center enable # 关闭信息中心让命令行更干净 [LSW1]vlan batch 2 3 10 # 批量创建VLAN比一条条敲快多了 [LSW1]interface Vlanif 2 [LSW1-Vlanif2]ip address 172.16.0.1 26 [LSW1-Vlanif2]quit [LSW1]interface Vlanif 3 [LSW1-Vlanif3]ip address 172.16.0.65 26 [LSW1-Vlanif3]quit [LSW1]interface Vlanif 10 [LSW1-Vlanif10]ip address 172.16.0.129 26 [LSW1-Vlanif10]quit配置完后用display ip interface brief看一眼确认三个Vlanif接口的IP都配对了物理状态Physical和协议状态Protocol暂时是down的没关系因为对应的物理接口还没划入VLAN。LSW2 配置和LSW1类似注意VLAN和IP的不同。Huaweisystem-view [Huawei]sysname LSW2 [LSW2]undo info-center enable [LSW2]vlan batch 2 3 20 [LSW2]interface Vlanif 2 [LSW2-Vlanif2]ip address 172.16.0.2 26 [LSW2-Vlanif2]quit [LSW2]interface Vlanif 3 [LSW2-Vlanif3]ip address 172.16.0.66 26 [LSW2-Vlanif3]quit [LSW2]interface Vlanif 20 [LSW2-Vlanif20]ip address 172.16.0.193 26 [LSW2-Vlanif20]quitR1 配置R1是三层路由器接口直接配IP不用关联VLAN。Huaweisystem-view [Huawei]sysname R1 [R1]undo info-center enable [R1]interface GigabitEthernet 0/0/1 [R1-GigabitEthernet0/0/1]ip address 172.16.0.130 26 [R1-GigabitEthernet0/0/1]quit [R1]interface GigabitEthernet 0/0/2 [R1-GigabitEthernet0/0/2]ip address 172.16.0.194 26 [R1-GigabitEthernet0/0/2]quit [R1]interface GigabitEthernet 0/0/0 [R1-GigabitEthernet0/0/0]ip address 12.0.0.1 24 [R1-GigabitEthernet0/0/0]quitISP 配置ISP的配置最简单就当它是个对端设备。Huaweisystem-view [Huawei]sysname ISP [ISP]interface GigabitEthernet 0/0/0 [ISP-GigabitEthernet0/0/0]ip address 12.0.0.2 24 [ISP-GigabitEthernet0/0/0]quit [ISP]interface LoopBack 0 [ISP-LoopBack0]ip address 2.2.2.2 24 [ISP-LoopBack0]quit3.2 二层链路配置Access与Trunk这是让数据能在交换机间正确转发的关键。想象一下VLAN就像大楼里的不同公司2楼是销售部3楼是技术部。Access口是公司专属电梯只服务本公司员工数据帧Trunk口是货运电梯贴着标签VLAN Tag可以同时运送多家公司的货物。接入层交换机 LSW3 LSW4它们连接PC的口配成Access上联核心交换机的口配成Trunk。# LSW3 配置 [LSW3]vlan batch 2 3 [LSW3]interface GigabitEthernet 0/0/3 [LSW3-GigabitEthernet0/0/3]port link-type access [LSW3-GigabitEthernet0/0/3]port default vlan 2 # PC1属于VLAN 2 [LSW3-GigabitEthernet0/0/3]quit [LSW3]interface GigabitEthernet 0/0/4 [LSW3-GigabitEthernet0/0/4]port link-type access [LSW3-GigabitEthernet0/0/4]port default vlan 3 # PC3属于VLAN 3 [LSW3-GigabitEthernet0/0/4]quit # 上联口G0/0/1和G0/0/2配置为Trunk并允许VLAN 2和3通过 [LSW3]interface GigabitEthernet 0/0/1 [LSW3-GigabitEthernet0/0/1]port link-type trunk [LSW3-GigabitEthernet0/0/1]port trunk allow-pass vlan 2 3 [LSW3-GigabitEthernet0/0/1]quit [LSW3]interface GigabitEthernet 0/0/2 [LSW3-GigabitEthernet0/0/2]port link-type trunk [LSW3-GigabitEthernet0/0/2]port trunk allow-pass vlan 2 3 [LSW3-GigabitEthernet0/0/2]quitLSW4的配置几乎一模一样只是连接的PC不同PC2在VLAN2PC4在VLAN3这里就不重复了记得把接口对应好。核心交换机 LSW1 LSW2它们连接接入层交换机的口比如G0/0/4配成Trunk。连接R1的口G0/0/1因为要跑三层路由我们用了Vlanif接口所以对应的物理口需要划入相应的VLAN这里是Access模式。最精彩的是它们之间的Eth-Trunk配置这是提升可靠性和带宽的经典操作。# LSW1 配置 [LSW1]interface GigabitEthernet 0/0/4 [LSW1-GigabitEthernet0/0/4]port link-type trunk [LSW1-GigabitEthernet0/0/4]port trunk allow-pass vlan 2 3 [LSW1-GigabitEthernet0/0/4]quit [LSW1]interface GigabitEthernet 0/0/1 # 连接R1的口 [LSW1-GigabitEthernet0/0/1]port link-type access [LSW1-GigabitEthernet0/0/1]port default vlan 10 # 划入VLAN 10对应Vlanif 10 [LSW1-GigabitEthernet0/0/1]quit # 配置Eth-Trunk将G0/0/2和G0/0/3捆绑成一条逻辑链路 [LSW1]interface Eth-Trunk 0 [LSW1-Eth-Trunk0]trunkport GigabitEthernet 0/0/2 0/0/3 [LSW1-Eth-Trunk0]port link-type trunk [LSW1-Eth-Trunk0]port trunk allow-pass vlan 2 3 [LSW1-Eth-Trunk0]quit [LSW1]interface GigabitEthernet 0/0/5 # 连接LSW4的口也是Trunk [LSW1-GigabitEthernet0/0/5]port link-type trunk [LSW1-GigabitEthernet0/0/5]port trunk allow-pass vlan 2 3 [LSW1-GigabitEthernet0/0/5]quitLSW2的配置思路一致注意连接R1的口划入的是VLAN 20。配置完这些你的网络二层链路就通了。可以用display vlan命令在各个交换机上检查VLAN和端口成员是否正确。4. 构建网络“防环”与“备份”骨架MSTP详解与配置现在我们的网络在二层上形成了一个“口”字型的环路LSW1-LSW3-LSW4-LSW2。有环路在二层是好事提供了冗余路径但也是坏事会产生广播风暴让网络瘫痪。生成树协议STP就是用来破环的“交通警察”。但传统的STP或RSTP会把所有VLAN放在一棵树上可能导致流量路径不优。MSTP多生成树协议更聪明它可以把多个VLAN映射到不同的生成树实例上实现负载均衡。4.1 MSTP的核心思想与规划你可以把MSTP想象成一个大型立交桥系统。不同的VLAN比如货车VLAN2、轿车VLAN3被分配在不同的桥面实例上行驶。我们可以指定对于实例2VLAN2LSW1是主桥Root Bridge所有去往VLAN2的流量优先走LSW1这边的路径对于实例3VLAN3LSW2是主桥流量优先走LSW2。这样两条上行链路Eth-Trunk和单链路都被利用起来了实现了流量的负载分担而不是让一条链路闲置。我们的规划是实例2Instance 2 映射VLAN 2。指定LSW1为主根桥Primary RootLSW2为备根桥Secondary Root。实例3Instance 3 映射VLAN 3。指定LSW2为主根桥LSW1为备根桥。4.2 在LSW1和LSW2上配置MSTP配置MSTP有固定的步骤启用协议、定义区域、映射VLAN、激活配置、指定根桥。# LSW1 配置 [LSW1]stp enable # 全局开启生成树 [LSW1]stp mode mstp # 指定模式为MSTP [LSW1]stp region-configuration # 进入MST域配置视图 [LSW1-mst-region]region-name HA-Lab # 给域起个名字所有交换机要一致 [LSW1-mst-region]instance 2 vlan 2 # 将VLAN 2映射到实例2 [LSW1-mst-region]instance 3 vlan 3 # 将VLAN 3映射到实例3 [LSW1-mst-region]active region-configuration # 激活配置必须敲 [LSW1-mst-region]quit # 指定LSW1在实例2中为主根桥在实例3中为备根桥 [LSW1]stp instance 2 root primary [LSW1]stp instance 3 root secondary# LSW2 配置 [LSW2]stp enable [LSW2]stp mode mstp [LSW2]stp region-configuration [LSW2-mst-region]region-name HA-Lab # 域名必须和LSW1一样 [LSW2-mst-region]instance 2 vlan 2 [LSW2-mst-region]instance 3 vlan 3 [LSW2-mst-region]active region-configuration [LSW2-mst-region]quit [LSW2]stp instance 2 root secondary [LSW2]stp instance 3 root primary配置完成后别急着往下走一定要检查用display stp brief命令查看生成树状态。重点关注“CIST”和“MSTI”的端口角色。你应该能看到在LSW1上连接LSW3和LSW4的端口对于实例2是DESI指定端口转发状态对于实例3可能是ALTE阻塞端口。而在LSW2上则相反。这就说明MSTP生效了成功为不同VLAN规划了不同的转发路径。4.3 接入层交换机的边缘端口配置对于直接连接PC的端口它们不可能收到其他交换机发来的BPDU生成树协议报文。我们可以把这些端口配置为边缘端口Edge Port。边缘端口一上来就直接进入转发状态省去了Listening和Learning的等待时间30秒让PC能快速上网。同时为了安全我们还要开启BPDU保护BPDU Protection。如果有人在边缘端口接了一台交换机恶意或无意BPDU保护会立即关闭该端口防止其对网络造成破坏。# LSW3 配置 [LSW3]stp enable # 接入层交换机也要开STP [LSW3]stp mode mstp [LSW3]stp region-configuration [LSW3-mst-region]region-name HA-Lab # 同样要加入MST域 [LSW3-mst-region]instance 2 vlan 2 [LSW3-mst-region]instance 3 vlan 3 [LSW3-mst-region]active region-configuration [LSW3-mst-region]quit # 将连接PC的端口G0/0/3和G0/0/4配置为边缘端口 [LSW3]interface GigabitEthernet 0/0/3 [LSW3-GigabitEthernet0/0/3]stp edged-port enable [LSW3-GigabitEthernet0/0/3]quit [LSW3]interface GigabitEthernet 0/0/4 [LSW3-GigabitEthernet0/0/4]stp edged-port enable [LSW3-GigabitEthernet0/0/4]quit # 全局开启BPDU保护 [LSW3]stp bpdu-protectionLSW4做同样的配置。至此网络的二层骨架已经非常健壮了既消除了环路风险又实现了链路备份和负载均衡。5. 实现网关的“无缝切换”VRRP实战二层通了我们来看三层网关。如果PC的网关只指向LSW1的Vlanif 2地址172.16.0.1那么当LSW1故障时即使LSW2还活着VLAN 2的用户也会因为网关失效而断网。VRRP虚拟路由器冗余协议就是为了解决这个问题而生的。它让多台路由器交换机虚拟成一个“虚拟路由器”拥有一个虚拟IP地址Virtual IP。终端设备只需要把这个虚拟IP作为自己的网关即可。5.1 VRRP工作原理与我们的配置策略VRRP会选举出一台设备作为主用Master负责转发发送到虚拟IP的流量其他设备作为备用Backup处于监听状态。主用设备会定期发送通告报文告诉备用设备“我还活着”。如果备用设备一段时间收不到通告就会认为主用挂了然后自己选举成为新的主用接管流量。这个切换过程非常快用户几乎无感。我们的策略是负载均衡式的VRRP也叫“VRRP组负载分担”对于VLAN 2VRRP组1虚拟IP设为172.16.0.62。我们提高LSW1的优先级比如120默认是100让它成为MasterLSW2保持默认优先级作为Backup。对于VLAN 3VRRP组2虚拟IP设为172.16.0.126。我们提高LSW2的优先级120让它成为MasterLSW1作为Backup。这样LSW1和LSW2各自承担一部分VLAN的网关流量既实现了冗余又分担了负载。5.2 在LSW1和LSW2上配置VRRP配置VRRP主要在网关接口Vlanif下进行。# LSW1 配置 [LSW1]interface Vlanif 2 [LSW1-Vlanif2]vrrp vrid 1 virtual-ip 172.16.0.62 # 创建VRRP组1虚拟IP [LSW1-Vlanif2]vrrp vrid 1 priority 120 # 设置优先级为120使其成为Master [LSW1-Vlanif2]quit [LSW1]interface Vlanif 3 [LSW1-Vlanif3]vrrp vrid 2 virtual-ip 172.16.0.126 # 创建VRRP组2虚拟IP # LSW1在组2中不配优先级使用默认100作为Backup [LSW1-Vlanif3]quit# LSW2 配置 [LSW2]interface Vlanif 2 [LSW2-Vlanif2]vrrp vrid 1 virtual-ip 172.16.0.62 # LSW2在组1中不配优先级使用默认100作为Backup [LSW2-Vlanif2]quit [LSW2]interface Vlanif 3 [LSW2-Vlanif3]vrrp vrid 2 virtual-ip 172.16.0.126 [LSW2-Vlanif3]vrrp vrid 2 priority 120 # 设置优先级为120使其成为Master [LSW2-Vlanif3]quit配置完后立刻用display vrrp brief命令检查。你会看到在LSW1上VRRP组1的状态是Master组2的状态是Backup在LSW2上则正好相反。太棒了现在VLAN 2的PC应该把网关设为172.16.0.62VLAN 3的PC网关设为172.16.0.126。但我们现在还没配DHCP先别急。5.3 VRRP的“智能”联动接口跟踪上面的配置有个小问题如果LSW1整体没宕机只是它连接上层路由器R1的那条链路G0/0/1断了呢这时LSW1的Vlanif 2接口依然是UP的它还会是VRRP Master但数据包却无法送达R1导致VLAN 2的用户上不了网。这就需要用到VRRP的**接口跟踪Track Interface**功能。接口跟踪可以让VRRP监视某个物理接口的状态。如果被监视的接口Down了VRRP就自动降低本设备的优先级促使备份设备接管。# LSW1 配置监视其上联口G0/0/1 [LSW1]interface Vlanif 2 [LSW1-Vlanif2]vrrp vrid 1 track interface GigabitEthernet 0/0/1 reduced 30 # 如果G0/0/1接口Down本设备在VRRP组1中的优先级降低30从120降到90 [LSW1-Vlanif2]quit# LSW2 配置监视其上联口G0/0/1 [LSW2]interface Vlanif 3 [LSW2-Vlanif3]vrrp vrid 2 track interface GigabitEthernet 0/0/1 reduced 30 [LSW2-Vlanif3]quit现在你可以做个实验在LSW1上手动关闭G0/0/1接口shutdown然后迅速在LSW2上用display vrrp brief查看会发现LSW2已经变成了VRRP组1的Master这就是高可用性的魅力——链路故障也能自动切换。6. 让终端“即插即用”DHCP服务配置手动给每台PC配IP太麻烦了也不符合实际运维场景。我们在核心交换机上配置DHCP服务器让PC自动获取IP、网关和DNS。6.1 在LSW1和LSW2上配置DHCP全局地址池我们需要为VLAN 2和VLAN 3分别创建地址池。注意虽然LSW1和LSW2都配置了DHCP但由于它们处于同一个广播域并且我们启用了VRRP最佳实践是让主网关设备来响应DHCP请求。不过为了演示冗余我们可以两边都配但需要确保地址池的网关地址指向VRRP虚拟IP而不是设备自身的真实IP。这样无论哪台设备响应PC获得的网关都是对的。# LSW1 配置 [LSW1]dhcp enable # 全局开启DHCP功能 [LSW1]ip pool vlan2_pool # 创建名为vlan2_pool的地址池 [LSW1-ip-pool-vlan2_pool]network 172.16.0.0 mask 26 # 分配网段 [LSW1-ip-pool-vlan2_pool]gateway-list 172.16.0.62 # 关键网关是VRRP虚拟IP [LSW1-ip-pool-vlan2_pool]dns-list 8.8.8.8 # 配置DNS服务器这里用谷歌的示例 [LSW1-ip-pool-vlan2_pool]quit [LSW1]ip pool vlan3_pool [LSW1-ip-pool-vlan3_pool]network 172.16.0.64 mask 26 [LSW1-ip-pool-vlan3_pool]gateway-list 172.16.0.126 # VLAN 3的VRRP虚拟IP [LSW1-ip-pool-vlan3_pool]dns-list 8.8.8.8 [LSW1-ip-pool-vlan3_pool]quit然后在Vlanif接口上启用全局地址池模式。[LSW1]interface Vlanif 2 [LSW1-Vlanif2]dhcp select global # 接口采用全局地址池分配IP [LSW1-Vlanif2]quit [LSW1]interface Vlanif 3 [LSW1-Vlanif3]dhcp select global [LSW1-Vlanif3]quitLSW2上需要做完全相同的DHCP配置地址池名称、网段、网关、DNS都一样。因为PC发送的是广播请求如果LSW1故障LSW2作为新的Master需要能继续提供DHCP服务。6.2 测试PC自动获取IP现在回到eNSP拓扑图右键点击PC1-PC4选择“配置”。在基础配置标签页将“IPv4配置”方式从“静态”改为“DHCP”。然后点击应用稍等片刻你应该能看到PC自动获取到了IP地址、子网掩码、网关和DNS。你可以在PC的命令行界面右键PC选择“命令行”输入ipconfig命令查看。确认PC1和PC2获取的网关是172.16.0.62PC3和PC4获取的网关是172.16.0.126。再用PC1去ping一下它的网关ping 172.16.0.62应该是通的。这证明DHCP和VRRP虚拟网关都工作正常了。7. 打通“任督二脉”三层路由与全网互通现在各个VLAN内部已经通了PC也能ping通自己的虚拟网关。但VLAN之间、以及内网访问外网还不通因为缺少路由信息。我们需要让LSW1、LSW2和R1这三台三层设备互相学习到对方的路由。7.1 配置OSPF动态路由协议我们使用OSPF这个最常用的内部网关协议。规划很简单把所有内网接口172.16.0.0/16这个大网段下的所有子网都宣告到OSPF的骨干区域Area 0中。# R1 配置 [R1]ospf 1 router-id 1.1.1.1 # 启动OSPF进程1并手动指定Router ID [R1-ospf-1]area 0 # 进入骨干区域0 [R1-ospf-1-area-0.0.0.0]network 172.16.0.128 0.0.0.63 # 宣告直连网段反掩码 [R1-ospf-1-area-0.0.0.0]network 172.16.0.192 0.0.0.63 [R1-ospf-1-area-0.0.0.0]quit# LSW1 配置 [LSW1]ospf 1 router-id 2.2.2.2 [LSW1-ospf-1]area 0 [LSW1-ospf-1-area-0.0.0.0]network 172.16.0.0 0.0.0.63 # VLAN 2网段 [LSW1-ospf-1-area-0.0.0.0]network 172.16.0.64 0.0.0.63 # VLAN 3网段 [LSW1-ospf-1-area-0.0.0.0]network 172.16.0.128 0.0.0.63 # 连接R1的网段 [LSW1-ospf-1-area-0.0.0.0]quit# LSW2 配置 [LSW2]ospf 1 router-id 3.3.3.3 [LSW2-ospf-1]area 0 [LSW2-ospf-1-area-0.0.0.0]network 172.16.0.0 0.0.0.63 # VLAN 2网段 [LSW2-ospf-1-area-0.0.0.0]network 172.16.0.64 0.0.0.63 # VLAN 3网段 [LSW2-ospf-1-area-0.0.0.0]network 172.16.0.192 0.0.0.63 # 连接R1的网段 [LSW2-ospf-1-area-0.0.0.0]quit配置完成后稍等几秒用display ospf peer brief命令查看邻居关系。你应该能看到R1有两个邻居LSW1和LSW2状态都是Full表示邻接关系已完全建立。再用display ip routing-table protocol ospf查看OSPF学到的路由三台设备的路由表里应该都有了所有内网网段的路由。现在进行激动人心的测试用PC1去ping不同VLAN的PC3172.16.0.66/26网段应该能通了这标志着你的内网已经实现了全网互通VLAN间的路由由OSPF动态计算和维护。7.2 配置NAT与缺省路由访问外网内网通了最后一步是让内网用户能上网。这需要做两件事一是在边界路由器R1上配置一条指向ISP的缺省路由默认路由并把它发布到OSPF中让内网设备知道“去往任何未知地址的流量都发给R1”二是在R1上配置NAT将内网的私网IP转换成公网IP。# 在R1上配置指向ISP的静态缺省路由 [R1]ip route-static 0.0.0.0 0 12.0.0.2 # 这条命令意思是目标网络0.0.0.0任意网络掩码0任意掩码下一跳是12.0.0.2ISP的接口地址。 # 将这条缺省路由下发到OSPF进程中让LSW1和LSW2也能学到 [R1]ospf 1 [R1-ospf-1]default-route-advertise always # always参数表示即使R1本身没有缺省路由也强制向OSPF域内发布一条缺省路由。 # 配置Easy IP方式的NAT在出接口上应用 [R1]acl 2000 # 创建一个基本ACL 2000用来匹配需要做NAT转换的内网地址 [R1-acl-basic-2000]rule permit source 172.16.0.0 0.0.0.255 # 允许源地址为172.16.0.0/24网段的流量这里用0.0.0.255是通配符掩码匹配前24位 [R1-acl-basic-2000]quit [R1]interface GigabitEthernet 0/0/0 # 进入连接外网的接口 [R1-GigabitEthernet0/0/0]nat outbound 2000 # 在接口出方向应用ACL 2000将匹配的流量的源IP转换为该接口的公网IP12.0.0.1 [R1-GigabitEthernet0/0/0]quit现在终极测试来了在任意一台PC上尝试ping外网ISP的环回口地址2.2.2.2。第一次可能会超时因为PC需要做ARP解析多ping几次。当你看到Reply from 2.2.2.2的时候恭喜你你的高可用性企业网络实验大功告成了8. 验证与排错让理论经受实践的检验配置完成不是终点严格的验证和故障模拟才是巩固知识的关键。我强烈建议你进行以下测试并观察现象VRRP主备切换测试在PC上持续ping它的虚拟网关例如PC1 ping 172.16.0.62。然后去LSW1上关闭它的Vlanif 2接口interface Vlanif 2-shutdown。观察ping的丢包情况通常只会丢1-3个包切换在秒级完成。同时在LSW2上使用display vrrp brief确认它已经接管成为Master。MSTP路径切换测试在LSW1上使用display stp instance 2 brief查看VLAN 2的生成树状态。然后手动断开LSW1连接LSW3的链路在eNSP中删除线或接口shutdown。再去查看生成树状态你会发现阻塞的端口变成了指定端口流量路径发生了变化。DHCP冗余测试将作为VLAN 2主DHCP服务器的LSW1的DHCP服务关闭undo dhcp enable然后在VLAN 2中的一台PC上释放并重新获取IP在PC命令行先ipconfig /release再ipconfig /renew。它应该仍然能从LSW2获取到IP地址。路由收敛测试在PC上持续ping另一个VLAN的地址如PC1 ping PC3。然后在R1上关闭连接LSW1的接口G0/0/1。由于OSPF的收敛和VRRP的接口跟踪流量会切换到经过LSW2的路径ping可能会有短暂中断后恢复。通过这些测试你会对“高可用性”有更直观、更深刻的理解。网络不是配通了就行而是要理解它为什么能通以及当某个部分失效时其他部分如何协同工作来维持业务的连续性。这个实验虽然是在模拟器中完成的但其设计理念和配置命令与真实生产环境高度一致。多练几次把这些配置思路印在脑子里将来在工作中遇到类似的网络规划需求你就能从容地拿出这套经过验证的“高可用性组合拳”方案了。